Segurança

• HTTPS em todo o tráfego
• Senhas com hash e salt por usuário
• Sessão por cookie HttpOnly, SameSite=Lax e Secure em produção
• Autorização por usuário (escopo por owner) em projetos, arquivos e conversas
• Validação de entrada e proteção contra path traversal
• Segredos de infraestrutura somente no backend — nunca no navegador
• Rate limiting em rotas sensíveis